Nextcloud yalnız VPN ilə: əvvəlcə hər girişi inventarlaşdırın

Yalnız VPN ilə Nextcloud planı brauzeri qoruyub sinxronizasiya müştərisini unutduqda uğursuz olur. Veb səhifə, masaüstü sinxronizasiya mühərriki, mobil yükləmələr, WebDAV alətləri və paylaşılan link alıcıları hamısı eyni xidmətə yol ehtiyacı duyur və hər biri fərqli giriş aşkara çıxara bilər. Bir şeyi bağlamazdan əvvəl onları inventarlaşdırın. O siyahı əsl perimetrdir.

Yoxlama siyahısını ardıcıllıqla işləyin. Birinci bənd bu yerləşdirmə üçün özəlin nə demək olduğunu müəyyən edir; sonrakı bəndlər yerləşdirmənin həqiqətən həmin tərifə uyğun olub-olmadığını yoxlayır.

Perimetri dəyişməzdən əvvəl özəli müəyyən edin

Tələbi bir cümlə ilə yazın: hər istifadəçi tətbiqə çatmazdan əvvəl VPN-ə qoşulmalıdır, ya da tətbiq açıq qala bilər və mənbəyi özəl qalır. Bunlar fərqli dizaynlardır və özəl tunelə ötürən açıq tərs proksi yalnız ikincisini ödəyir.

Özəl backend ünvanı tətbiqi özəl etmir. Açıq xəritələmə, ikinci host adı və ya IPv6 dinləyicisi hələ də eyni Nextcloud nüsxəsinə çatırsa, giriş backendin harada olmasından asılı olmayaraq mövcuddur. Xidməti özəl elan etməzdən əvvəl hər adı kənardan yoxlayın. Çatışmayan DNS qeydi bağlı portla eyni deyil.

Nəzərdə tutulan auditoriya barədə də razılaşın: işçilər, bir ev təsərrüfatı, tərəfdaş təşkilat və ya hesabların alt çoxluğu. Cavab açıq paylaşma linkinin xüsusiyyət və ya ziddiyyət olduğunu müəyyən edir. Həmin auditoriyanı giriş planına yazın. Bu, sonrakı hər istisna üçün sınaqdır.

Hər girişi və hər adı inventarlaşdırın

Açıq ünvan xəritələmələrini, tərs proksiləri, alternativ host adlarını, IPv6 dinləyicilərini və xidmətə çatan hər hansı tunel və ya mesh ünvanını sadalayın. Həmin ünvanlara həll olunan adları da daxil edin, çünki unudulmuş DNS qeydi dostyana etiketli girişdir.

Proksi konfiqurasiyasını ötürülən başlıqlar və alternativ server blokları baxımından yoxlayın. Başqa tətbiq üçün əlavə edilmiş proksi eyni upstream-i yol və ya qalıq virtual host vasitəsilə aşkara çıxara bilər. Nəzərdə tutulan diaqramı deyil, faktiki konfiqurasiyanı oxuyun. İkisi tətbiq köçürüldükdən sonra daha çox fərqlənir.

Sonra seçmədiyiniz girişləri bloklayın. Açıq cəbhəli özəl backend yalnız VPN dizaynı deyil və yalnız IPv4-ü əhatə edən firewall qaydası IPv6 dinləyicisini açıq qoyur. Hər iki ailəni və hər iki adı eyni dəyişiklikdə bağlayın.

Hər müştəriyə bir xidmət adı verin

Özəl DNS-i xidmətə yönəldin, o adı VPN-dən keçirin və onun üçün sertifikat verin. Ad özəl yoldan həll olunmalı və xəbərdarlıq olmadan təsdiqlənməlidir. Birbaşa IP-yə çatan müştəri də adın işləməsinə ehtiyac duyur.

Əlaqəsiz IP ünvanı ilə qoşulan müştərilər dizayn işləsin deyə sertifikat xətalarını rədd etməməlidir. Sabit ad ünvan dəyişdikdə sinxronizasiya müştərilərinin təkrar server qeydləri yaratmasının da qarşısını alır. Özəl xidmətlə özəl IP arasındakı fərq budur.

Sertifikat yoxlamasını aktiv saxlayın. Özəl şəbəkə məruz qalmanı azaldır, lakin təsdiqlənməmiş TLS bağlantısını məqbul etmir və xəbərdarlıqları nəzərə almamağa öyrəşmiş müştəri onları digər şəbəkələrdə də nəzərə almayacaq.

Şəbəkə girişini məhdudlaşdırın, bütün LAN-ı deyil

Qeydiyyatdan keçmiş istifadəçilərə Nextcloud xidmətinə və onun zəruri asılılıqlarına çatmağa icazə verin, server idarəçiliyini isə ayrı yolda saxlayın. VPN müştərini bütün ev və ya ofis şəbəkəsinə buraxır həmin müştəriyə tətbiqin tələb etdiyindən qat-qat çoxunu verir.

VPN-ə giriş Nextcloud hesablarını, icazələrini və ya əlavə autentifikasiyanı əvəz etmir. Hansı istifadəçinin hansı faylı oxuya biləcəyini tətbiq hələ də müəyyən edir və şəbəkə qatı yeganə nəzarət olmamalıdır.

Təsdiqlənmiş mənbə diapazonunu və xidmət portlarını qeyd edin. Hədəf sahibi müşahidə olunan mənbəyə ehtiyac duyur və NAT və ya proksi sorğu tətbiqə çatmazdan əvvəl onu yenidən yaza bilər.

Brauzerdən kənar hər iş axınını nəzərdən keçirin

Masaüstü sinxronizasiya və mobil yükləmələr öz bağlantılarını öz vaxtlarında açır. Qoşularkən onlara təsdiqlənmiş özəl yol lazımdır və VPN olmadıqda fərqli davrana bilərlər: yenidən cəhd, fasilə və ya xəta göstərmək. Hər birini sınayın, yalnız brauzeri deyil.

WebDAV alətləri və təqvim və ya əlaqə müştəriləri öz konfiqurasiyası olan ayrı inteqrasiyalardır. Açıq URL-i keşləyən müştəri perimetr dəyişdikdən sonra da həmin URL-i sınayır və uğursuzluq tətbiq problemi kimi görünür.

Paylaşılan linklər açıq qərara layiqdir. Link alıcısına VPN girişi vermir, buna görə həqiqətən yalnız VPN dizaynında xarici alıcı link etibarlı olsa belə ondan istifadə edə bilməz. Əgər xaricə paylaşma tələb olunursa, bu, öz giriş yolu olan qəsdən edilmiş istisnadır, sonradan aşkar ediləcək səhv deyil.

Federasiya və serverdən serverə inteqrasiyalar eyni rəftarı tələb edir. Bunlar quraşdırmalar arasında əlçatanlıq münasibətləridir və yalnız özəl yerləşdirmə onların dəstəkləndiyini bildirməlidir.

Həm icazə verilən, həm də rədd edilən halı qəbul edin

Təsdiqlənmiş müştəridən veb interfeysi və adi fayl yükləmə və ya endirməni yoxlayın. Sonra sinxronizasiya müştərisini və brauzerdən kənar bir iş axınını yoxlayın. Yalnız brauzerdə uğur qəbul deyil.

Təsdiqlənməmiş yoldan tətbiqin siyahıdakı hər girişdən əlçatmaz olduğunu təsdiqləyin. Alternativ host adını və IPv6 ünvanını sınayın, yalnız əsas URL-i deyil.

Nəhayət, şəbəkə siyasəti ilə asanlıqla qarışdırılan tətbiq parametrlərini nəzərdən keçirin. trusted_domains nüsxənin qəbul etdiyi adları sadalayır; bu, müştəri IP-lərinin icazə siyahısı deyil. Əgər tərs proksi ünvan məlumatı verirsə, trusted_proxies faktiki proksini göstərməlidir və ötürülən başlıqlar yalnız ondan qəbul edilməlidir.

Şəbəkə dəyişikliyi ilə yanaşı adi gücləndirmə işini davam etdirin: məlumatları və ehtiyat nüsxələri gözlənilməz veb yollardan kənarda saxlayın, tətbiqə yamaq vurun, administrator girişini qoruyun və bərpanı istifadə edilə bilən saxlayın. VPN bir giriş səthini aradan qaldırır; qeydiyyatdan keçmiş müştərini etibarlı etmir.